AI 开始催还 40 年技术债：PHP 一个"只会崩溃"的老 bug，两周被做成远程执行漏洞

作者：许棠

IEEE Spectrum 11 月 4 日的分析文章以 PHP2Shell 为例提出：AI 让找漏洞变快，四十年遗留代码的欠账正被集中翻出来。补丁赶在攻击前发布，但修漏洞的一方仍然追不上。

IEEE Spectrum 11 月 4 日刊出分析文章，用 PHP2Shell 漏洞举例：10 月下旬曝光的这个漏洞，威胁到跑 WordPress、Drupal 的站点，文章点名 NASA、维基百科和白宫的网站；据其所知，补丁在攻击者动手前发布，灾难被避开 。这是分析判断，不是"已经发生批量攻击"的新闻。

技术债就是当年为赶进度先凑合、想着以后再修的那部分欠账。这个 bug 2024 年就报给了 PHP 基金会，它只会让程序崩溃，于是没人当回事 。今年 OpenAI 出资让安全公司 Calif 独立审计 PHP，研究员借 AI 工具在两周内把它升级成能在服务器上跑任意代码的漏洞，Wiz 随后确认并扩大范围；4 名工程师花两个月才把补丁赶出来 。

急在哪儿：找漏洞和修漏洞的工作量根本不对等，而 AI 大幅提速的是找。哥伦比亚大学的 Suman Jana 说，AI 不能独立完成这些工作，但它让顶尖 0.1% 的专家产出更多，也让水平刚够的人不必抠完所有细节就能上手 。约翰·霍普金斯大学的 Matthew Green 更悲观：不出真让人难受的大事，没人会认真修，他猜是 2027 年初 。

对站长的账很简单：先盘清服务器上还跑着哪些老 PHP 程序，能升就升，安全更新别拖到下周；开源项目没预算，就盯紧上游补丁的发布节奏 。先做这两件，比先买 WAF 便宜。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] AI is forcing us to pay off 40 years of technical debt
• 配图 1：来源：IEEE Spectrum（图片署名见原文） · 图片出处
• 配图 2：来源：IEEE Spectrum（图片署名见原文） · 图片出处